Unidad de Informática - UPCT LUCIA: Gestión de incidentes de seguridad 1 LUCIA: Herramienta para la Gestión de Incidentes de Seguridad

Presentación del tema: "Unidad de Informática - UPCT LUCIA: Gestión de incidentes de seguridad 1 LUCIA: Herramienta para la Gestión de Incidentes de Seguridad"— Transcripción de la presentación:

1 Unidad de Informática - UPCT LUCIA: Gestión de incidentes de seguridad 1 LUCIA: Herramienta para la Gestión de Incidentes de Seguridad paco.sampalo@si.upct.es lucia@ccn-cert.cni.es

2 Unidad de Informática - UPCT LUCIA: Gestión de incidentes de seguridad 2Programa 1.¿Qué es LUCIA? 2.El proceso de gestión de incidentes (Guía 817). 3.LUCIA en la UPCT. 4.Conclusiones.

3 Unidad de Informática - UPCT LUCIA: Gestión de incidentes de seguridad 3 ¿Qué es LUCIA?

4 Unidad de Informática - UPCT LUCIA: Gestión de incidentes de seguridad 4LUCIA Herramienta de gestión de incidentes de seguridad del CCN-CERT. Personalización de RTIR. Objetivos principales:  Dotar a las AAPP de una herramienta para la Gestión de incidentes de seguridad (ENS).  Comunicación y coordinación con el CCN-CERT. Personalizada según lo establecido en la guía CCN STIC 817. Arquitectura distribuida y federada. Información sincronizada y compartida entre los diferentes organismos adscritos. Integrada con las sondas de SAT-SARA y SAT-Internet. Descargable (sólo usuarios registrados) desde https://www.ccn-cert.cni.es/herramientas-de-ciberseguridad/lucia.html

5 Unidad de Informática - UPCT LUCIA: Gestión de incidentes de seguridad 5 LUCIA: Conceptos Ticket o caso: unidad básica de tratamiento de LUCIA. Un ticket está formado por varios campos que le dotan de información y por otros que conforman su meta-información (información para su gestión). Hay 3 tipos de tickets (cada uno con su cola asociada):  Reporte de incidente (IR): es un aviso de un usuario/sistema informando sobre que algo que no va bien. Un IR puede dar lugar a un Incidente.  Incidente: es el tipo que representa una incidencia. Puede tener asociados varios IRs y/o Investigaciones. Es el elemento que se sincroniza con LUCIA Central.  Investigación: es un tipo de ticket que se crea cuando se quiere indagar en un problema Cola: es la unidad de organización de RT. Existe un acola por cada uno de los tipos anteriores. El CCN-CERT ha creado una vista (Constituency) en RTIR (colas, campos personalizados para los tickets) y no se recomienda que se modifique nada que pueda afectar a la sincronización.

6 Unidad de Informática - UPCT LUCIA: Gestión de incidentes de seguridad 6 LUCIA: Usuarios y perfiles Administrador (root): es el usuario que tiene permisos para gestionar todo el sistema (alta de otros usuarios, gestionar permisos, creación de colas, creación de campos personalizados, etc.). El único usuario que puede tener este rol es el root. Usuarios privilegiados: son los que pueden operar y gestionar los tickets; serían los técnicos del CSIRT. Usuarios no privilegiados: lo único que pueden hacer es dar de alta tickets (IR) pero no pueden nunca gestionarlos; serían el resto de técnicos del Servicio de Informática. El resto de usuarios notificarían los tickets (IR) por correo electrónico a una dirección habilitada al efecto.

7 Unidad de Informática - UPCT LUCIA: Gestión de incidentes de seguridad 7 LUCIA: Proceso de gestión

8 Unidad de Informática - UPCT LUCIA: Gestión de incidentes de seguridad 8 LUCIA: Proceso de gestión

9 Unidad de Informática - UPCT LUCIA: Gestión de incidentes de seguridad 9 LUCIA: Sincronización LUCIA-Central Los campos que se incluyen en la sincronización son todos excepto el ‘Asunto’, ‘Cuerpo’, ‘Descripción’, ‘Campaña’, ‘Origen de la amenaza’ y los comentarios. De esta forma se anonimiza la información de los incidentes. Todos los incidentes se notifican automáticamente.

10 Unidad de Informática - UPCT LUCIA: Gestión de incidentes de seguridad 10 LUCIA: Pantalla principal

11 Unidad de Informática - UPCT LUCIA: Gestión de incidentes de seguridad 11 El proceso de gestión de incidentes (Guía CCN STIC- 817)

12 Unidad de Informática - UPCT LUCIA: Gestión de incidentes de seguridad 12 1.Definir equipo de trabajo (CSIRT/ERC). 2.Apertura: Detección, clasificación, análisis y comunicación. 3.Tratamiento: contención, erradicación y recuperación. 4.Cierre: informe y medidas preventivas futuras. Gestión de incidentes

13 Unidad de Informática - UPCT LUCIA: Gestión de incidentes de seguridad 13 Tipo de ciberincidente: código dañino, disponibilidad, intrusión, etc. Nivel de Peligrosidad: bajo, medio, alto, muy alto, crítico. Impacto en la Organización: nulo, bajo, medio, alto, muy alto, crítico. Causas (tipificadas). Todo esto está estandarizado en las correspondientes tablas de la Guía. Clasificación y metadatos

14 Unidad de Informática - UPCT LUCIA: Gestión de incidentes de seguridad 14 LUCIA en la UPCT

15 Unidad de Informática - UPCT LUCIA: Gestión de incidentes de seguridad 15 Gestión de Incidentes en la UPCT Plan de mejora: Realizada la auditoría de cumplimiento ENS en abril-2015:

16 Unidad de Informática - UPCT LUCIA: Gestión de incidentes de seguridad 16 Gestión de Incidentes en la UPCT Se ha creado un Equipo de Respuesta (ERC ) formado por personal de la Unidad de Informática. Se ha definido un procedimiento de gestión de ciberincidentes: 1.Detección y Reporte: desde nuestro help-desk o por los técnicos o a través de herramientas. 2.Alta y clasificación: considerar o no el aviso, introducir metadatos y asignar técnico responsable. 3.Seguimiento y resolución: implicando e informando a otras áreas de la Universidad si es necesario. 4.Cierre: comunicar, documentar y enlazar con Gestión del Cambio. Se ha instalado, configurado y probado LUCIA: proceso sencillo, siguiendo los manuales y con poca personalización. No lo hemos integrado con nuestro help-desk.

17 Unidad de Informática - UPCT LUCIA: Gestión de incidentes de seguridad 17 Situación actual y conclusiones

18 Unidad de Informática - UPCT LUCIA: Gestión de incidentes de seguridad 18Conclusiones De momento hacemos una gestión básica. Herramienta útil, pues facilita un aspecto clave de la gestión de la seguridad y en la línea del ENS. Facilita la coordinación, comunicación y establecimiento de criterios comunes. Métricas para INES. Aclarar criterios de clasificación: experiencia. Probar la comunicación con CCN-CERT. Será interesante integrar las sondas SAT-INET.